Bienvenida al curso · GRC: riesgo, políticas y normativas (ISO 27001, NIST CSF y Ley 8968)

Distribuidora Guayabo S.A., pyme ficticia de Cartago, quiere venderle a una cadena de supermercados. Antes de firmar, la cadena le manda un cuestionario de seguridad:

14. ¿Cuenta la empresa con una política de respaldos aprobada por la
    gerencia? Indique fecha de la última prueba de restauración y
    adjunte evidencia.
    [ ] Sí  [ ] No  [ ] En proceso

Guayabo sí hace respaldos: el encargado de TI los saca los viernes a un disco externo. Pero no hay nada escrito, nadie los ha restaurado nunca y la gerencia no sabe que existen. La respuesta honesta es "No", y con ella el contrato se complica. El problema era de gobierno, no técnico.

Bienvenido a GRC: riesgo, políticas y normativas (ISO 27001, NIST CSF y Ley 8968). Es el lado de la ciberseguridad que no pasa por una consola: decidir qué se protege, ordenar los riesgos y demostrar con evidencia que lo que se dice se hace.

Qué va a lograr

Explicar qué es GRC y quién lo ejerce en una corporación y en una pyme.
Construir una matriz de riesgo de probabilidad por impacto con tratamientos, dueño y fecha.
Usar el NIST CSF 2.0, ISO/IEC 27001 y los CIS Controls IG1 para medir el estado de la seguridad y marcar brechas.
Reconocer las obligaciones de la Ley 8968, los delitos de la Ley 9048 y la normativa sectorial de Costa Rica.
Redactar políticas con su registro de excepciones y preparar una auditoría interna con evidencia y plan de acción.

Para quién es y qué necesita

Es para quien empieza en ciberseguridad, para técnicos que tratan con auditores y para quien viene de administración, derecho o contabilidad. No necesita usar la terminal. Ayuda haber hecho Introducción a la ciberseguridad.

Todo se trabaja en hoja de cálculo y procesador de texto. Para el módulo 3, tenga a mano el texto vigente de la Ley 8968 en el Sistema Costarricense de Información Jurídica (SCIJ), no un resumen.

Cómo está organizado

Módulo	Qué aprende	Laboratorio
1. Gobierno y riesgo	Qué es GRC, sus roles y el ciclo de gestión de riesgos	Matriz de riesgo para diez activos de una pyme
2. Marcos de referencia	NIST CSF 2.0, ISO/IEC 27001 y 27002, CIS Controls IG1	Mapear controles al NIST CSF y marcar brechas
3. Normativa en Costa Rica y latam	Ley 8968 y PRODHAB, Ley 9048, SUGEF, SUTEL y leyes vecinas	Inventario de datos personales de planillas
4. Políticas y auditoría	Jerarquía documental, uso aceptable, auditoría interna y la conclusión	Política de respaldos y registro de excepciones
Evaluación	6 preguntas sobre todo el curso	Aprueba con 70 %

Cómo aprovecharlo

Los cuatro laboratorios son sobre Guayabo, y el último es justamente la política de respaldos que le faltaba arriba. Hágalos antes de leer la solución de referencia: dos analistas pueden calificar distinto un riesgo, y lo que cuenta es justificarlo.

La matriz de riesgo es la que más se traba. La tendencia es calificar todo como "crítico". Antes de cada número, escriba qué tendría que pasar para que el riesgo ocurra y qué control lo frena hoy. El inventario de datos personales del módulo 3 es el más útil fuera del curso.

Al aprobar la evaluación final recibe el certificado y la insignia.

Tiempo estimado

Unas 4 horas y media, cien minutos en laboratorios.